Sécurité Cloud à Sherbrooke : AWS, Azure & GCP

BRP (Bombardier Recreational Products) exploite des usines connectées à Valcourt et dans la région de Sherbrooke, avec des équipements de production (robotique, lignes d'assemblage) reliés à Azure IoT Hub pour la maintenance prédictive et l'optimisation de la production. La sécurité cloud IoT Manufacturing comprend : sécurisation des identités des équipements IoT (certificats X.509 pour l'authentification des devices sur Azure IoT Hub, rotation automatique des certificats), chiffrement des données de télémétrie en transit (TLS 1.3 entre les usines et Azure), segmentation réseau OT/IT (isolation des PLC et systèmes SCADA de l'environnement Azure via des passerelles Azure IoT Edge sécurisées), monitoring des anomalies avec Microsoft Defender for IoT (détection des comportements anormaux des équipements connectés), et gestion des mises à jour sécurisées des firmwares IoT (Azure Device Update for IoT Hub). La Loi 25 Québec s'applique aux données personnelles éventuellement collectées par les véhicules connectés BRP (données de conduite). Notre audit cloud IoT Manufacturing pour une ETI comme BRP : 12 000 $ CAD à 25 000 $ CAD HT.

Le CHUS (Centre Hospitalier Universitaire de Sherbrooke) gère les données médicales de patients de toute l'Estrie, constituant des renseignements personnels hautement sensibles au sens de la Loi 25 Québec. Pour l'hébergement cloud de ces données (DPI - Dossier Patient Informatisé, imagerie médicale, résultats de laboratoire) sur AWS ca-central-1 ou Azure Canada East : EFVP (Évaluation des Facteurs relatifs à la Vie Privée) obligatoire avant mise en oeuvre, contrat d'hébergement de renseignements personnels de santé avec le prestataire cloud (clauses Loi 25 + Loi sur les services de santé et services sociaux LSSSS), responsable de la protection des renseignements personnels (RPRP) désigné, et notification à la CAI en cas de violation présentant un risque de préjudice sérieux. Le Ministère de la Santé du Québec publie des directives spécifiques sur l'hébergement cloud des données de santé. Notre audit cloud santé CHUS/CISSS : 8 000 $ CAD à 20 000 $ CAD HT.

L'Université de Sherbrooke (UdeS) utilise AWS et GCP pour ses projets de recherche (calcul haute performance, stockage de grandes bases de données scientifiques) et Azure pour Microsoft 365 et ses services administratifs. Les données de recherche peuvent contenir des données personnelles de participants (études cliniques, recherche sociale) soumises à la Loi 25 et aux règlements d'éthique de la recherche (EPTC 2 - Énoncé de politique des trois conseils). Pour les données personnelles de recherche sur AWS ca-central-1 ou GCP : EFVP avant tout traitement à risque élevé, contrat DPA avec AWS/GCP, et consentement éclairé des participants couvrant l'hébergement cloud. L'UdeS dispose d'un DPO (Délégué à la Protection des Données) et d'un comité d'éthique de la recherche (CER). Pour les startups issues de l'UdeS via Sherbrooke Innopole : notre audit cloud recherche et conformité Loi 25 démarre à 3 500 $ CAD HT.

Pour une PME de Sherbrooke ou de l'Estrie (20-100 salariés) utilisant AWS ca-central-1 ou Azure Canada East pour ses applications métier (ERP cloud, CRM SaaS, stockage de données clients) : audit cloud conformité Loi 25 entre 4 500 $ CAD et 10 000 $ CAD HT, incluant inventaire des renseignements personnels collectés et hébergés dans le cloud, revue des contrats DPA avec les prestataires cloud (AWS/Azure/Google), évaluation des mesures de sécurité cloud (IAM, chiffrement, journaux d'accès), et rapport de conformité Loi 25 avec plan de remédiation. Pour une entreprise manufacturière avec composante IoT (Azure IoT Hub, AWS IoT Core) : audit cloud IoT + Loi 25 entre 7 000 $ CAD et 15 000 $ CAD HT. Pour une startup Sherbrooke Innopole (infrastructure cloud-native, pipeline CI/CD) : audit DevSecOps entre 3 000 $ CAD et 6 500 $ CAD HT. Nos rapports sont rédigés en français et adaptés aux exigences de la Loi 25 québécoise.

En cas d'incident de sécurité cloud à Sherbrooke (fuite de données patients du CHUS, violation de données personnelles d'une PME de l'Estrie, ransomware sur infrastructure Azure BRP), la procédure Loi 25 Québec impose : évaluation du risque de préjudice sérieux pour les personnes concernées, notification à la CAI (Commission d'Accès à l'Information du Québec, cai.gouv.qc.ca) sans délai si risque de préjudice sérieux identifié, et notification directe aux personnes concernées sans délai si le risque est élevé. Pour les données médicales du CHUS : notification supplémentaire possible au Ministère de la Santé du Québec. Le Centre canadien pour la cybersécurité (CCC, cyber.gc.ca, tel: 1-833-CYBER-88) offre une assistance aux entreprises et organisations canadiennes. Techniquement : isoler les ressources AWS ou Azure compromises (Security Groups, NSG), révoquer les credentials IAM suspects, activer AWS CloudTrail ou Azure Activity Logs pour préserver les preuves forensiques, et contacter le support sécurité de votre prestataire cloud. CloudSecure intervient à distance sous 2 heures pour les entreprises de Sherbrooke et de l'Estrie.